Cisco Secure Email Gatewayに深刻な脆弱性、SQLインジェクションで悪用も確認　修正済みソフトウェアへの更新を

Ciscoのメールセキュリティソリューション「Cisco Secure Email Gateway」にSQLインジェクションの脆弱性（CVE-2026-76461）があるとして、JPCERT/CCが緊急情報を発表し、Ciscoは修正済みソフトウェアへの更新を呼びかけている。脆弱性はすでに悪用が確認されており、CISA（米国サイバーセキュリティ・インフラストラクチャセキュリティ庁）も「重大なリスク」と評価し、既知の悪用脆弱性（KEV）カタログに追加している。

事案の詳細

今回のニュースは、Ciscoのメールセキュリティ製品であるCisco Secure Email Gateway向けのAsyncOSソフトウェアに、深刻なSQLインジェクションの脆弱性CVE-2026-76461が存在することが明らかになった点にある。CVSS v3.1スコアは9.8と評価されており、認証されていないリモートの攻撃者が悪意のあるSQL文を含む細工したメールを送信し、脆弱性のあるシステムでそのメールが処理されると、対象システム上でroot権限による任意コマンド実行が可能になる。

当該脆弱性の影響を受けるのは、Cisco Secure Email Gateway向けAsyncOSソフトウェアの以下のバージョンとされている。

• 16.5系：16.5.0-780より前のバージョン
• 16.0系：16.0.4-302より前のバージョン
• 15.5系以前：15.5.5-014より前のバージョン

Ciscoはそれぞれの系統に対して修正済みソフトウェアを公開しており、とくに最新系統への移行として16.5.0-780へのアップデートを強く推奨している。これらの修正済みバージョンへ更新していない環境は、依然として攻撃を受けるおそれがある。

また、脆弱性については「すでに悪用を確認」とされている。これは理論上の問題提起にとどまらず、現実の攻撃や不正利用の文脈で脆弱性が利用されたことが確認されている状況であり、CISAも当該CVEを既知の悪用脆弱性としてカタログに追加している。米国の政府機関であるCISAは、この件を「重大なリスク」と評価し、該当する連邦機関に対してベンダーが提供する修正済みソフトウェアの適用期限を具体的に定めたうえで対応を求めている。

ベンダーによる更新の呼びかけに加え、公的機関がリスクを強調している点から、利用組織にとって対応の優先度が高い事案として扱われている。

影響と背景

影響を受けうるのは、Cisco Secure Email Gatewayを利用している組織であり、上記の対象バージョンのAsyncOSを使用している場合、修正済みソフトウェアへ更新できていない環境では認証なしのリモートからのroot権限での任意コマンド実行という重大なリスクが残る。

メールは業務の基盤として広く使われるため、関連製品の脆弱性が「重大なリスク」と評価されること自体が、組織運用への影響の大きさを示している。特に、メールゲートウェイはスパム・マルウェア・フィッシングなどを防ぐ「守りの要」として配置されているにもかかわらず、その基盤に深刻な脆弱性が存在すると、攻撃者による踏み台化や内部ネットワークへの侵害の起点となる可能性が高い。

さらに、CISAのKEVカタログに登録される脆弱性は、実際の攻撃で悪用が確認されたものが中心であり、政府機関を含む広範な組織に対して迅速な修正の適用が求められる。今回のCVE-2026-76461もその対象となっていることから、単なる潜在的な脆弱性ではなく、現実の攻撃シナリオにおいて利用されている、または利用されうる危険性が高いものと位置付けられている。

対策・今後の展望

• 修正済みソフトウェアへ更新する：Ciscoが修正済みとしているAsyncOSのバージョン（例：16.5系では16.5.0-780、16.0系では16.0.4-302、15.5系以前では15.5.5-014など）へ速やかにアップデートし、未更新の状態を解消する。ネットワークに接続された状態で運用しているメールゲートウェイは、インターネットからの攻撃を受けやすいため、更新の遅れは重大なリスクにつながる。
• 利用状況を棚卸しする：自組織でCisco Secure Email Gatewayを利用しているか、どのAsyncOSバージョンを使用しているかを確認し、更新対象の有無を明確にする。複数拠点や複数環境で同製品を利用している場合、すべての機器・仮想アプライアンスが修正済みバージョンに到達しているかを一覧化して確認することが重要である。
• 重要度を上げて対応する：悪用が確認され、CISAも重大なリスクと評価しKEVに追加していることを踏まえ、通常の更新作業より優先度を上げて計画・実施する。CISAは対象機関に対して期限を設けて修正の適用を指示しており、民間組織においても同等レベルの緊急性をもってパッチ適用を検討する必要がある。

CSRIからの現場アドバイス

【現場で何が起きているか】CSRIが支援する中小企業のMDR運用や診断では、メール基盤・周辺機器の「更新待ち」が残りやすく、運用担当が少ないほど後回しになりがちです。実際の診断でも、セキュリティ製品ほど安心感から更新が滞り、脆弱性対応が未完了のまま残っている例が見られます。今回のように、メールゲートウェイ自体が攻撃の起点となりうる脆弱性は、検知・防御の仕組みを逆手に取られることを意味しており、運用上の優先度を上げて対処すべき事案です。

【平易な解説】例えるなら、会社の受付にある入館ゲートの「不具合」が見つかったのに、直す前にその抜け道を使う人が出てしまったようなものです。つまり、守るための装置でも、古いままだと攻撃に利用されることがある、ということです。今回のケースでは、その抜け道を使うことで、入館ゲートの管理者権限（root権限）まで乗っ取られてしまう危険があり、受付から社内の重要な場所へ不正侵入されるリスクに相当します。

【今週中にできること】まず総務や情シスで、Cisco Secure Email Gatewayを使っているかと現在のAsyncOSバージョンを確認し、上記の対象バージョンに該当していないかをチェックして、更新が必要かをはっきりさせてください。次に、ベンダーが示す修正済み版への更新作業を今週の優先タスクとして担当者に依頼し、実施日時を決めて進捗を追うことが有効です。また、CISAのKEVに登録されているような「既に悪用が確認された」脆弱性への対応は、単なる定例パッチではなく緊急メンテナンスとして扱うことを前提に、経営層や関係部署とも共有しておくとよいでしょう。

参照: Cisco Secure Email Gatewayに深刻な脆弱性、修正済みソフトウェアへの更新を　すでに悪用を確認、CISAも「重大なリスク」と評価